La Agencia Española de Protección de Datos (AEPD) ha impuesto una sanción de 4.000 euros a la entidad PINKGREEN BARCELONA, S.L., un restaurante ubicado en la ciudad condal, por dar respuesta a las reseñas de dos comensales revelando datos personales de los mismos y de terceras personas, careciendo de legitimación para llevar a cabo dicho tratamiento de datos.
Concretamente, el restaurante compartió el nombre y apellido de ambos comensales, la universidad en la que estudió el primer reclamante y su orientación sexual, así como el nombre de los amigos que acompañaban a ambos reclamantes el día que sucedieron los hechos.
Ante dichas publicaciones, los comensales decidieron interponer una reclamación ante la AEPD. Notificada la apertura del procedimiento sancionador al establecimiento, este remitió escrito de alegaciones manifestando la existencia de indefensión por no haber recibido comunicaciones previas de la Agencia, y que los datos personales objeto de la reclamación eran públicos en el perfil de Facebook de uno de los reclamantes y que otros datos publicados habían sido obtenidos como consecuencia de una relación personal, por lo que no entraban en el ámbito de la normativa de protección de datos.
Con relación a lo alegado por el establecimiento, la AEPD afirmó que se realizaron actuaciones de traslado de la reclamación, constando la notificación rechazada por caducidad, y que posteriormente se reiteró el intento por correo postal. En todo caso, al haberse notificado correctamente el acuerdo de inicio y haberse concedido a la entidad plazo para formular alegaciones y proponer pruebas, la Agencia concluyó que no se ha producido indefensión.
Respecto a la publicación de la información personal ya comentada, la AEPD insiste en que el hecho de que los datos publicados figuren en las redes sociales de los reclamantes no implica que cualquier pueda publicarlos sin que medie base legitimadora para ello. De esta manera, no constó que la publicación realizada por el establecimiento contase con ninguna de las bases de las previstas en el artículo 6 del Reglamento General de Protección de Datos (en adelante, RGPD).
Por otra parte, la AEPD recalcó que el tratamiento de los datos relativos a la orientación sexual de uno de los reclamantes no figuraba entre la información facilitada en el perfil de Facebook al que aludía la parte reclamada, siendo un dato de categoría especial (artículo 9 del RGPD), cuyo tratamiento se encuentra prohibido salvo que se aprecie alguna de las circunstancias que permitirían el levantamiento de la prohibición.
Concluyó la AEPD fijando una sanción total de 4.000 euros por infracción del artículo 6 y 9 del RGPD (1.500 y 2.500 euros, respectivamente). Además de la multa, la AEPD ordenó a PINKGREEN cesar en el tratamiento de los datos personales, eliminado la contestación a las reseñas presentas por las partes reclamantes.